Řada firewallů blokuje nově přidělené IP adresy

Množství skriptů konfigurujících iptables má původ v návodech a vzorových skriptech. Málokdo však kontroluje, že IANA v dnešní nouzi o IPv4 přiděluje i dříve rezervované rozsahy, a tak řada firewallů blokuje dnes přidělené adresy.

Ovlivněn přímo tímto problémem apeluji a prosím administrátory, aby provedli kontrolu a případně smazali ze svých skriptů řádky podobné tomuto:

$IPTABLES -A IN_FW -s 96.0.0.0/4 -j logdrop # rezervovano podle IANA

V dnešní době již není rezervován a jeho některé rozsahy jsou přiděleny i v EU, dokonce na území ČR.

4.2.2010 11:38 | dmnc_net | Upozornění

Komentáře

[Begleiter]

Už aby se plně přešlo na IPv6.

[houska]

+1

[SAM:]

Souhlas. +1

[Michal Kubeček]

Tohle je zrovna problém, který IPv6 nijak neřeší. Pokud někdo blokuje adresy, které jsou "rezervované" v tom smyslu, že jen zatím nebyly nikomu přiděleny, tak přesně totéž může dělat i u IPv6. I tam takové bloky existují a i tam je to samozřejmě jen dočasné.

[stativ]

Problém IPv6 je, že se přidělují zbytečně velké rozsahy. Většina lidí se spokojí s jednou IP adresou (jako doteď, pokud vůbec měli veřejnou IP). Proto dávat rozsah /48 je strašně přemrštěné. Nakonec to skončí tak, že adresy se vyplýtvají také a to ne proto, proto, že by jich IPv6 tolik nezvládlo, ale protože každý jouda bude mít desetitisíce adres a z nich bude používat 1. Jasně, doba, kdy bude 100 mld. uživatelů je daleko (pokud vůbec bude internet ještě existovat), ale už to není tak nepředstavitelné číslo jako když člověk porovnává samotný address space.

[Michal Kubeček]

Abych pravdu řekl, těch /48 mi taky připadá moc. Osobně bych byl spíš pro /56 malým koncovým uživatelům (např. domácnostem) a /48 jen těm, u kterých je důvod očekávat, že budou mít opravdu velkou síť a /56 by jim časem přestalo stačit (nebo by jim nestačilo už teď). Ale chápu-li to dobře, přesně z tohoto důvodu se zatím přidělují pouze adresy z 2000::/3, aby v případě, že se ukáže, že je současná strategie 16-16-16-16 špatná, udělalo se to na zbytku už "správně".

[allstar]

Prosím, potvrďte mi ješte jednou, že se budou domácnostem dávat /48? Já tomu stále ještě nemohu uvěrit. (A sám bych byl pro /56). Dík.

[Heron]

Také by mě to zajímalo. Dodnes jsem měl za to, že se koncovým zákazníkům budou rozdávat /64 a ISP dostane /48.

[Michal Kubeček]

Jenže /64 je dost na houby, s tím neudělám (bez triků, se kterými by právě IPv6 mělo skoncovat) ani síť za firewallem. Natož cokoli strukturovaného.

[Ondrej 'SanTiago' Zajicek]

ISP (opravdovi, tedy LIRove) dostavaji /32. Tipuji, ze koncovym zakaznikum typu domaci uzivatele budou davat /64 a vetsim (firemnim) zakaznikum (ci pseudoISP) budou davat /48.

[Michal Kubeček]

Pevně doufám, že pro domácnost nebude problém dostat aspoň /60, za jednu /64 bych jim moc nepoděkoval.

[trekker.dk]

Na co tolik adres?

[Heron]

Moment, /48 lze dělit (padli tu návrhy na /56 /60) a /64 si rozdělit nemůžu?

[petr_p]

Bezstavová autokonfigurace říká 64 bitů a nikdy jinak.

Podle mě je to ale blbost. Stejně je nutné dělat DAD a případně si vylosovat jinou adresu. Jestli by prostor pro autokonfiguraci byl menší, by zas tolik nevadit nemělo. Stejně na global scope je potřeba oznámení směrovače, které když už dnes může nést i adresu rekurzivního DNS serveru, tak by mohlo nést informaci o velikosti prefixu.

[Michal Kubeček]

Stejně je nutné dělat DAD a případně si vylosovat jinou adresu.

Proč? Pokud se všichni budou chovat korektně, není k tomu důvod. Staticky přidělované adresy jsou disjunktní s adresami pro autokonfiguraci, při autokonfiguraci různé MAC adresy vedou na různé IP adresy a pokud by z nějakého důvodu měla dvě zařízení stejnou MAC adresu, tak už je to stejně jedno. Pokud se někde bude chtít záměrně chovat nekorektně, tak si místo IPv6 adresy může rovnou nastavit stejnou MAC adresu.

[petr_p]

Protože RFC, protože identifikátor rozhraní se v případě neexistence linkové adresy odvozuje od jiných (třeba pseudonáhodných) údajů. Už jste zkoušel IPv6 na plip (IP přes paralelní port)? Já ano. (Námět ke studiu: stav adresy tentative.)

Ano, staticky přidělované adresy jsou od automatických rozlišitelné podle hodnoty určitého bitu.

Jinak celková odpověď na proč: Protože 64bitová podsíť je podle mě zbytečně velká. Běžné L2 sítě mají a asi vždy budou mít mnohem méně zařízení, než abychom se strachovali o kolize (které stejně hlídá DAD). Kdyby byla třeba jen 32bitová, tak by jsme získaly obrovský prostor pro domácí strukturování.

[Michal Kubeček]

To samozřejmě závisí na úvaze konkrétního ISP.

[Sten]

/48 sítí je skoro 50 000 pro každého obyvatele Země. Přijde vám to málo?

[Michal Kubeček]

Jakmile máte několikastupňovou hierarchii, nelze to tímhle způsobem počítat. Problémy s nedostatečnou velikostí adresního prostoru IPv4 se také začaly projevovat už v době, kdy se počet připojených počítačů ani zdaleka neblížil čtyřem miliardám.

[Grunt]

Já bych to viděl tak, že v tom zase má prsty pan Heisenberg. Můj návrh: Reinkarnovat toho starého páprdu a systematicky ho upálit na hranici a je po problému.

[Tomáš Velecký]

Nepočítají náhodou s tím, že svou IP bude mít čím dál víc zařízení (televize, telefony, tiskárny, ...)?

[allstar]

Neříkejte mi, že Vám /56 nestačí. 256 subnetů je pro každého až až.

[.]

Jasně. 640MB paměti musí stačit každému...

[stativ]

Až na to, že říct si o větší subnet by snad neměl být problém. Když mi přestane stačit paměť, dokoupím novou. Kupujete si snad počítač za pár miliónů jen proto, že byste v budoucnu mohl využít 1TB paměti?

[pc2005]

Tak zrovna 640MB by mě stačilo, mám 256 .

[sh]

bylo to 640kB ... ještě z dob DOSu

[Michal Kubeček]

Holt už dnes asi některým připadá naopak příliš neuvěřitelné, že by 640 KB mohlo někomu stačit. :-)

[Ash]

Natož že by třeba doletěl na Měsíc s dvacetinou toho.

[Jendа]

Někomu to prý stačí.

[ludvik]

Vím o třech takových postižených sítích ... jedna jsme my a třetí si nepamatuju

Ale ono to až tak k smíchu není: http://wiki.khnet.info/index.php/Problematicke_weby a to mám ještě výhodu, že můžu zkoušet ze starších adres. Kdybych je neměl, tak nevím co s tím ...

[dmnc_net]

obdivuji mnozstvi zanechane prace, vc. WIKI Nevim, jestli to muze pomoci, kolik odborne komunity pouziva facebook, ale at je co SDILET...

[x]

Nevidim na tom neco moc extra vyhodne napr. kvuli - It seems to be common that everything that involves IPv6 has to be more abstracted and therefor a magnitude more complex.

[Mti.]

Ano, byl jsem asi pred mesicem kontaktovan jednim z postizenych. Obdivuju s jakou slusnosti poslal upozorneni a i na mou odpoved (priznani chyby) reagoval velmi prijemne. Obzvlaste tolerantni tvor.

Kdyz si predstavim, kolik jenom po republice bude siti, ktere jako prvni krok instalace pouziji "jakysi" mpfw.sh z clanku na rootovi a "jen" to prizpusobi lokalnim podminkam, je mi adminu v tom 96kovem segmentu lito a maji muj obdiv.

Docela bych uvital anketu na toto tema. (blokujete jeste uvolnene rozsahy: Nikdy, do nedavna (po upozorneni), stale , nemam firewall ... doplneno alespon o odkaz na tuto zpravicku)

[Rezza]

Jj, s timto jsem si uzil svoje. Byla to moje chyba a malem jsem brecel, kdyz jsem prisel cim to bylo On ten Firehol mel strasne pekny konfigurak, na prvni pohled bylo videt co se deje, kde co se blokuje - ale na te vyssi urovni. Jak se clovek podival, kolik to vygenerovalo pravidel a v tom jedno spatne...

[Heron]

Firehol má přiložený skript pro stahování aktuálního seznamu rezervovaných adres.

[Rezza]

Ja vim, ale nez jsem si ho vsiml...

[ludvik]

Já si zase myslím loni všimnul, že IANA změnila formát toho seznamu ... takže můj script nefungoval. Naštěstí jsem si toho všimnul dost brzo. Automatika je dobrá věc.

[tomfi]

Tak tohle bych raději ani nepsal... nechávat si automaticky šahat do konfigurace firewallu to si koleduje o dos :)

[CET]

Jeste bych pridal volby "nekopiruji firewall skript bez rozmyslu" a "firewall pravidla si tvorim uplne sam".

Stejne nechapu, jak tam nekdo muze cpat ty pravidla takhle blbe.

Mam proste LAN s nejakym rangem a WAN (pripadne jeste DMZky s nejakyma rozsahama). Myslenka je "blokuj vsechno krome ..." A pak povolim prichozi pakety z LAN iface s LAN rangem, z WAN iface povolim vse krome mych rozsahu. Vic me nezajima.

[pc2005]

Zatím to je ještě v pohodě. Až začnou přidělovat 127.*, tak to bude horší .

[Michal Kubeček]

Už jsem na to několikrát u podobných návodů upozorňoval. Je v pořádku blokovat rozsahy, které by se na Internetu neměly vyskytnout, protože jsou rezervovány pro speciální účel (např. 172.16.0.0/12). Ale pokud někdo blokuje adresy z rozsahů, které jsou rezervované ve smyslu "rezerva na horší časy", pak je to hrubá chyba.

[Sinuhet]

Neni, pokud periodicky kontrolujete, zdali nedoslo ke zmene.

[Zdenek]

Otazkou je, cim se lisi od tech "normalnich" adres a proc je tedy vubec blokovat. U adres urcenych pro specialni pripady (privatni site) je to jasne.

[dmnc_net]

rika se, ze IP z rezervovanych (oficialne nepouzivanych) rozsahu pouzivaji ti zli kluci pro ruzne utoky, tak proto se blokuji ...

[Zdenek]

A z tech officialne pouzivanych IP zli kluci nechodi?

[Mti.]

ti treba nejsou tak moc zli.... a nebo se to bude casem "rezervovat" vsechno

[Sinuhet]

Lisi se tim, ze nebyly prideleny a na verejnem internetu nemaji co pohledavat. Jestli je nekdo zabral za ucelem hackingu, ip squattingu, nebo ma jen spatne nakonfigurovanej pocitac, je nepodstatny detail.

[Zdenek]

Nebyli docasne prideleny. Tak to ma byt napsano spravne. S tim zabranim mate pravdu, to je nepodstatny detail. Podstatny detail je, ze ted ma plno pocitacu spatne nakonfigurovany firewall a to uplne zbytecne.

[Sinuhet]

Plno pocitacu ma spatne nakonfigurovany firewall i ve spouste dalsich ohledu, nemeli bychom filtrovani oznacit za hrubou chybu vseobecne a firewally zakazat? Jestli znate nejake legitimni vyuziti pro nepridelenou adresu volne pobihajici po verejnem internetu, tak sem s nim.

[Zdenek]

Staci jen aby ty firewally nepsali troubove a jesti vetsi troubove, aby z toho nedelali tutorialy. Neznam, ale muj firewall je nakonfigurovany tak, aby mu nezalezelo jestli je nejaka adresa docasne nepridelena.

[Michal Kubeček]

Jestli znate nejake legitimni vyuziti pro nepridelenou adresu volne pobihajici po verejnem internetu, tak sem s nim.

Znám: někomu ji přidělit.

[Sinuhet]

Ovsem pak uz to nebude nepridelena adresa.

[Michal Kubeček]

Pak už ne. Jenže ten status se může kdykoli změnit a navíc současný status je takový, že dost zřetelně naznačuje, že se počítá s tím, že k takové změně dojde. Vzhledem k tomu nemůžu považovat za rozumné zakazovat komunikaci s takovými adresami, zvlášť když to nic nepřináší.

Trochu mi to připomíná některé autory konfigurací, kteří si po svém vyložili pokyn "must be zero" ve specifikaci IP protokolu u nejnižšího bitu pole ToS. Kvůli jejich lidové tvořivosti se teď nejde do některých sítí dostat, pokud si nezakážete používání ECN.

[Michal Kubeček]

Hm, a u kolika z těch vzorových konfigurací na webu jste viděl upozornění, že je něco takového potřeba, nebo dokonce návod, jak to dělat? Já zatím vždycky jen "tohle zakážeme, protože IANA řekla, že je to rezervované" a šmytec.

[Sinuhet]

Ze jedni lide pisi kraviny a jini lide jim je veri, je nesvar obecneho razu.

Firewall se da nakonfigurovat spatne, ale to neznamena, ze to taky nejde udelat spravne.

[Michal Kubeček]

Jistě, jde to udělat správně. Já ale tvrdím, že pokud někdo automaticky blokuje rozsahy, které nejsou rezervované pro nějaký speciální účel, ale pouze zatím nebyly nikomu přiděleny, je to chyba. A tato zprávička ukazuje, k čemu takový postup ve většině případů vede.

Pokud si někdo ve své soukromé konfiguraci blokuje dosud nepřidělené /8 a hlídá si, jestli se jejich status nezměnil, je to v pořádku. Když někdo blokování takových rozsahů nasype do ukázkové konfigurace v nějakém tutorialu a ani se nezmíní o tom, že zmíněný status takových rozsahů není "na věčné časy a nikdy jinak", ale jen do chvíle, kdy budou někomu přiděleny, pak je to chyba.

[x]

Je to chyba. Rezervovane adresy jsou jen tyhle http://en.wikipedia.org/wiki/Private_network . Od toho jsou standardy ala RFC. Kdyz nekdo blokuje neco jineho, tak je to ......

[Atom321]

To není tak docela pravda. Chyba je to tehdy, pokud je u daného rozsahu bylo napsáno "rezervováno pro budoucí přidělení registrátorům", nebo zkráceně "UNALLOCATED".

Ovšem, v tomto případě bylo u rozsahu napsáno prostě "Reserved". To může znamenat rezervaci pro nějaký "speciální účel" v budoucnu, který zatím neznáte. Jako např. rozsah 224.0.0.0/4 byl přidělen multicastu. Zablokovat neznámé protokoly je z pohledu bezpečnosti správný přístup.

Na vině je tedy de-facto špatný odhad budoucnosti ze strany IANA a přidělení rozsahu adres, u kterého se to původně neočekávalo.

[Michal Kubeček]

Bohužel všechny ty tutorialy, které jsem viděl a které blokovaly "rezervované" rozsahy, blokovaly šmahem všechno, co u čeho bylo "unallocated" nebo "reserved". Ono i u toho "reserved" je potřeba rozlišovat, za jakým účelem jsou rezervovány. Např. 240.0.0.0/4 (kromě 255.0.0.0/8) je rozsah, u kterého je poznámka "future use", což IMHO nijak nevylučuje jejich využití pro standardní alokaci globálních unicast adres.

[Atom321]

... což IMHO nijak nevylučuje jejich využití...

Správci firewallů nejsou na nějaké IMHO zvědaví. "Reserved" jednoduše znamená že dané adresy nejsou povolené. Co není povolené, se na firewallu zakazuje a hotovo.

[Michal Kubeček]

Nemáte pravdu. "Reserved" znamená, že je ten blok rezervován k nějakému účelu. Je-li účelem "future use", je zcela v pořádku, pokud IANA v noci na zítřek takový blok někomu přidělí pro globální unicastové adresy. A nebo ty adresy začne používat pro cokoli jiného. Zodpovědný správce firewallu by tedy s takovou možností měl počítat a být připraven na možnost, že se taková adresa může kdykoli zcela legálně vyskytnout; ne ex post zjišťovat, že k něčemu takovému došlo, a teprve zpětně na to reagovat úpravou pravidel. Takové jednání je totiž úplně stejně nesmyslné, jako kdyby někdo v náhlém hnutí mysli zakazoval komunikaci s adresami, které dostali jednotliví ISP, ale zatím je nikomu nepřidělili ani nepoužili pro vlastní účely (což se může z hodiny na hodinu změnit).

[Ash]

Ano, a když je na stole v hospodě cedulka "Reserved", tak ho klidně obložím batohama, protože tam nikdo nepřijde :)

Reserved opravdu neznamená, že "adresy nejsou povolené". A to ani jednoduše. To by muselo být prohibited, forbidden nebo tak podobně.

[tomfi]

+1 hlídat si nevyužívání rezervovaných rozsahů je spíše úkolem IANA

[Michal Kubeček]

Hnidopišská terminologická poznámka: nekonfiguruje se iptables, ale Netfilter (pomocí iptables).

[dmnc_net]

Ano, je to pravda a omlouvam se, sdeleni mohlo vypadat "Množství skriptů konfigurujících firewall pomoci iptables". Na druhou stranu bych to tak uz nechal, informace je hlavne pro ty, kteri na tomto poli zacinali/zacinaji pomoci vzorovych skriptu a o tomto problemu nemaji ani zdani. Mozna jsou to ti sami, co nevi, ze netfilter je framework v jadre a iptables obsluha. V praxi jsem byl u proverovani znalosti nabiranych techniku supportu pro IT firmu (odborny test jako soucast prijimaciho pohovoru), vetsina o netfilteru nevedeli a iptables jim trosku neco rikalo. Sam jsem sice pouzil spatnou terminologii, vsak ve vysledku snad slovo iptables prilaka vice ctenaru/googlistu...

[..... Izak .....]

Diky za upozorneni, taky jsem to blokoval, samo ze podle scriptu/navodu , co jsem tvoril tak pred 8lety ... doted ten FW bezi beze zmen )

... tak jsem to zrusil, i na heslo jsem si vzpomnel )

[Ondrej 'SanTiago' Zajicek]

Hmm, to maji blbe. Vzpominam si, jak jsme pred nejakou dobou meli v siti spoje s mensi MTU nez 1500 a nektere servery blokovaly vsechny ICMP zpravy vcetne Fragmentation needed, takze s nima neslo komunikovat. Asi dvaceti jsme poslali e-mail, a odpovedel (a opravil si to) jediny.

[Grunt]

No tak už to začíná. Vím o tom, že u jednoho místního providera už začínají být problémy s prodlevami při přidělovaní nových rozsahů od RIPE. Počítám (resp. cítím v kostech), že nebude moc dlouho trvat a IPv6 tsunami se začne pomalounku zvedat.

[stanger]

Doufam, ze si to precte nejaky admin jednoho ze serveru IRCnetu. :) Jine komunikacni kanaly selhaly.

[ludvik]

Někam výše jsem postnul odkaz na weby co jsem řešil. Nechce se mi to počítat, ale docela velké procento správců v podstatě nereaguje. Sehnat kontakty prakticky nemožné (o kontaktech v RIPE ani nemluvě) a když už, tak ti odpoví, že není problém u nich. A ty obětuješ další půlhodinu až hodinu, abys jim dokázal opak (pingování a tracování adres o kousek vedle, apod). Případně tě pak nařkne, že kecáš kraviny (to byl jeden případ) i po vyřešení. Ale samozřejmě existuje dost správných správců, co to řeší rychle a ještě poděkují (a těm bych rád poděkoval i tady, neboť mi spravili náladu).

A úplně nejlepší je, když taková síť má oba své DNS servery za jedním routerem který to poblokuje. Pak normální člověk ani nepozná co je špatně, neboť ani IP nedostane. A teď mám i případ, kdy mají DNSky správně na různých sítích, ale všude stejný firewall ... Nebo server má automatický scriptík a vždy dva dny po opravě problému se jim tam nějak nacpal zpátky. Je to k zbláznění.

Člověk by řekl, že takovýto problém by měl správce/majitele zajímat a řešit ho přednostně, ne? Ale já takový pocit většinou nemám ... jedné síti (ISP, asi vcelku velký) jsem dokonce psal emaily jak šílenec, abych si za docela dlouhou dobu všimnul, že nemají MX záznam a na A adrese smtp neexistuje. A na web formulář nereagovali.

A k problému obecně: já naopak považuju za správné blokovat nealokované segmenty. Buď firewally, nebo pomocí BGPka. Jenom se nesmí zapomínat na pravidelné aktualizace těch seznamů. Při mojich pokusech jsem viděl docela dost paketů z jedné nealokované sítě (myslím 50/8, ale už si nejsem jistý). A co si o tom má člověk myslet? Radši seknout, ať se to po síti nepoflakuje. Na DoS útok by to totiž stačit mohlo.

[fissie]

Hmm, to jste psal nekdy v posledni dobe? Na irc@irc.cz nic nevidim. Pokud to v posledni dobe nebylo, poslete prosim mail se zadosti tam. Dekuji.